004F24D0 |> 8B01 /MOV EAX,DWORD PTR DS:[ECX] 这里是读取4字节 quit I_B%F#X) : D4 o8 n+ b$ Y9 Q& R6 B
004F24D2 |. |BA FFFEFE7E |MOV EDX,7EFEFEFF 这里一块主要分析字符串是否已经到\\0
1 N, v! Y# E0 k* L0 q3 d+ J004F24D7 |. |03D0 |ADD EDX,EAX * R. |) \" j- i) y1 _
004F24D9 |. |83F0 FF |XOR EAX,FFFFFFFF
- m% ~7 u! X# | ~% g0 o4 Y: b004F24DC |. |33C2 |XOR EAX,EDX 8 S7 D- F8 P1 z, {
004F24DE |. |83C1 04 |ADD ECX,4 读取后面4个字节
& b4 u ]5 k7 F7 V9 i. e004F24E1 |. |A9 00010181 |TEST EAX,81010100
" `$ L- o& u2 m/ [. E& _. e4 @004F24E6 |.^ 74 E8 |JE SHORT Unpacked.004F24D0 如果是4个00(也就是81010100)就跳出 3 A, H3 i, @! `) u
/ P3 S0 S) w, b2 h
这一段没看懂,7EFEFEFF 和\\0什么关系?
$ J2 y; i3 u8 u4个00和81010100又是什么关系? |